Groei DANE-beveiliging voor mail vertraagd
Nederland hoofdrolspeler in DANE-adoptie
De afgelopen 3 jaar heeft de inzet van DANE voor mail een grote vlucht genomen. Dat heeft alles te maken met de ondersteuning van deze beveiligingsstandaard in de grote mailserverpakketten.
Die groei vlakte dit jaar echter sterk af – iets dat wij ons moeten aantrekken. Vanwege onze voortrekkersrol op gebied van DNSSEC – een harde vereiste voor de toepassing van DANE – nemen de .nl-domeinnamen en andere domeinnamen in beheer bij Nederlandse hosting providers ook het grootste aandeel in de DANE-beveiligde maildomeinen voor hun rekening. Met bijna 700 duizend met DANE-beveiligde domeinen staat de .nl-zone zelfs op nummer één.
Aantal domeinnamen | Naam hosting provider |
|---|---|
1.219.025 | one.com |
152.732 | TransIP |
150.806 | Argeweb |
148.860 | Infomaniak |
117.833 | Hostpoint |
Top 5 hosting providers voor met DANE-ondertekende domeinnamen. Bron: Viktor Dukhovni, september 2021.
Aantal domeinnamen | Topleveldomein |
|---|---|
699.702 | .nl |
410.927 | .com |
331.972 | .se |
228.733 | .dk |
137.370 | .no |
133.715 | .be |
132.688 | .de |
126.812 | .cz |
95.068 | .ch |
78.216 | .eu |
75.666 | .uk |
39.681 | .net |
Tabel 2: Top 12 topleveldomeinen voor met DANE-ondertekende domeinnamen. Bron: Viktor Dukhovni, augustus 2021.
Laatste statistieken
Volgens de laatste statistieken op DNSSEC-Tools zijn op dit moment (september 2021) wereldwijd 2,8 miljoen maildomeinen van DANE voorzien. Op een totaal van 16,2 miljoen domeinen waarvan de MX-records ondertekend zijn met DNSSEC, is dat zo'n 17 procent. Een stuk beter dan de 11,5 procent van 2 jaar geleden. Dat betekent dat investeringen in DNSSEC ook daadwerkelijk steeds meer uitgenut worden.
In onze eigen DANE-statistieken voor de .nl-zone (die op een iets andere manier tot stand komen dan die van DNSSEC-Tools) zien we dezelfde afvlakking (en zelfs een daling).
Snel afnemende groei
Eerder zagen we een exponentiële groei in het aantal DANE-beveiligde maildomeinen, terwijl het aantal domeinen dat DANE (TLSA) records publiceerde voor zijn eigen MX-gateway lineair toenam. Dat suggereert dat deze groei vooral te danken was aan grote mail providers die bezig waren om de door hun beheerde maildomeinen in bulk van DANE te voorzien. Maar ook in die aantallen zien we het afgelopen jaar een snel afnemende groei.
Mogelijke oorzaken
Wat zou kunnen is dat de grotere mailhosters hun MX-gateways inmiddels van DANE-ondersteuning hebben voorzien en dat de kleinere operators moeite hebben om DANE te implementeren. Wij stimuleren de adoptie van DANE voor mail via een financiële incentiveregeling voor .nl-registrars, maar die is natuurlijk interessanter naarmate je meer maildomeinen beheert. Een andere mogelijkheid is dat de coronacrisis roet in het eten heeft gegooid. Enerzijds had de ontsluiting van bedrijfsnetwerken voor thuiswerkers ineens grote prioriteit. Anderzijds is het waarschijnlijk moeilijker om nieuwe projecten te initiëren als je elkaar niet meer dagelijks in levenden lijve ziet.
Hulp bij implementatie DANE en DNSSEC
Voor wie zijn maildomeinen met DANE wil beveiligen hebben we hier uitgebreide beschrijvingen van de configuratie van DANE voor Postfix en Exim gepubliceerd. Moet je eerst DNSSEC nog doen, dan vind je hier een serie hands-on artikelen voor de meeste populaire DNS-servers.